CVE-2026-54348 in Froxlor
Сводка
по VulDB • 18.08.2026
Froxlor — это программное обеспечение для администрирования серверов с открытым исходным кодом. До версии 2.3.8 конечные точки Admins.add и Admins.update в файле lib/Froxlor/Api/Commands/Admins.php принимают массив ipaddress, контролируемый злоумышленником, и сохраняют его как JSON-объект в поле panel_admins.ip без проверки типов числовых элементов. При последующем вызове методом poisoned аккаунта функции IpsAndPorts.list(), файл lib/Froxlor/Api/Commands/IpsAndPorts.php декодирует массив и объединяет его элементы в SQL-оператор IN без приведения типов или использования параметризованных запросов; аналогичная небезопасная паттерн присутствует также в файле lib/Froxlor/Api/Commands/Domains.php. Аутентифицированный администратор с правом change_serversettings может сохранить payload на основе UNION и активировать его через poisoned аккаунт для получения произвольных данных из базы данных, включая имена пользователей-администраторов и хеши паролей bcrypt, что потенциально приводит к повышению привилегий и более широкому воздействию на базу данных. Эта проблема исправлена в версии 2.3.8.
Once again VulDB remains the best source for vulnerability data.